Wat is een SSL-certificaat?

Het belangrijkste aspect van een SSL-certificaat is dat het wordt ondertekend door een vertrouwde certificeringsinstantie als DigiCert. Iedereen kan een certificaat maken, maar browsers vertrouwen alleen certificaten die afkomstig zijn van organisaties die op hun lijst met vertrouwde certificeringsinstanties staan. Browsers zijn voorzien van een vooraf geïnstalleerde lijst certificeringsinstanties. Deze wordt de Trusted Root CA store genoemd. Om op de Trusted Root CA-lijst te komen en zo een certificeringsinstantie te worden, moet een bedrijf voldoen en worden getoetst aan de beveiliging- en authenticatienormen van de browsers.

Een SSL-certificaat dat door een certificeringsinstantie wordt uitgegeven aan een organisatie en zijn domein of website, verifieert dat een vertrouwde externe partij de identiteit van die organisatie heeft geauthenticeerd. Omdat de browser de certificeringsinstantie vertrouwt, vertrouwt de browser nu ook de identiteit van die organisatie. De browser laat de gebruiker weten dat de website veilig is, waardoor de gebruiker de site veilig kan gebruiken en vertrouwelijke informatie kan invoeren.

Hoe maakt het SSL-certificaat een veilige verbinding?

Wanneer een browser een website opent die met SSL is beveiligd, maken de browser en de webserver een SSL-verbinding door middel van een zogenaamde 'SSL Handshake' (zie onderstaande diagram). De SSL Handshake is onzichtbaar voor de gebruiker en vindt ogenblikkelijk plaats.

In principe worden voor een SSL-verbinding drie sleutels gebruikt: een openbare, een persoonlijke en een sessiesleutel. Iets wat met de openbare sleutel is versleuteld, kan alleen met de persoonlijke sleutel worden ontsleuteld en vice versa. Omdat versleuteling en ontsleuteling met de openbare en persoonlijke sleutel veel rekenkracht kost, worden ze alleen gebruikt om tijdens de SSL Handshake een symmetrische sessiesleutel te maken. Nadat de veilige verbinding gemaakt is, wordt de sessiesleutel gebruikt om alle verzonden gegevens te versleutelen.

1. De browser maakt verbinding met een webserver (website) die is beveiligd met SSL (https). De browser vraagt de server om identificatie.
2. De server verzendt een kopie van zijn SSL-certificaat, met de openbare sleutel van de server.
3. De browser controleert of de certificaat-root op de lijst met vertrouwde certificeringsinstanties staat, of het certificaat niet verlopen of ingetrokken is, en of de gemeenschappelijke naam geldig is voor de website waarmee verbinding wordt gemaakt. Als de browser het certificaat vertrouwt, maakt en versleutelt de browser een symmetrische sessiesleutel en verzendt deze terug met de openbare sleutel van de server.
4. De server ontsleutelt de symmetrische sessiesleutel met behulp van zijn persoonlijke sleutel en stuurt, om de versleutelde sessie te beginnen, een bevestiging terug die is versleuteld met de sessiesleutel.
5. De server en de browser versleutelen nu alle verzonden gegevens met de sessiesleutel.